現已提供適用於 Red Hat Enterprise Linux 4 的更新版 httpd 套件，可修正一個安全性問題、多種錯誤，並且新增數個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。

Apache HTTP Server 是一款流行的免費提供的 Web 伺服器。

在 Apache HTTP Server mod_proxy 模組中發現一個瑕疵。在設定反向代理伺服器的網站上，遠端攻擊者可傳送特制的要求，從而導致處理該要求的 Apache 子處理程序損毀。在設定正向代理伺服器的網站上，如果可說服使用者造訪使用該代理伺服器的惡意網站，攻擊者可造成類似的損毀情形。如果使用階層式多處理模組，這可導致拒絕服務。
(CVE-2007-3847)

這些更新版套件也可修正下列錯誤：

* 預設 '/etc/logrotate.d/httpd' 指令碼錯誤地呼叫了 kill 命令，而非使用 '/sbin/service httpd restart' 命令。如果您將 httpd PID 設定為在「/var/run/httpd.pid」以外的位置，則無法旋轉 httpd 記錄。這已在這些更新版套件中解決。

* 啟用「ProxyErrorOverride」指示詞時，並未將狀態代碼為 3xx 的 Set-Cookie 標頭轉送至用戶端。這些回應會在 proxy 中遭到覆寫。在這些更新版套件中，只有狀態代碼為 4xx 與 5xx 的回應會遭到覆寫。

* 當設定為反向代理伺服器時，mod_proxy 未正確處理百分比編碼字元 (即 %20)。

* 如果輸出篩選器傳回錯誤，則可記錄無效的 HTTP 狀態程式碼。

* ‘ProxyTimeout’指示詞並未跨虛擬主機定義繼承。

* 在某些情況下，Content-Length 標頭會從 HEAD 回應中捨棄。這導致某些網站無法正確與 mod_proxy 搭配使用，例如 www.windowsupdate.com。

此更新新增了下列增強功能：

* 已新增新的組態選項「ServerTokens Full-Release」，其將套件版本新增至伺服器版本字串，這會在「伺服器」回應標頭中傳回。

* 已新增新的模組 mod_version，其允許寫入包含區段的組態檔，這些檔案只會在所使用 httpd 版本符合指定條件時評估。

建議 httpd 使用者升級至這些更新版套件，其可解決這些問題並新增這些增強功能。

偵測

CentOS 4：httpd (CESA-2007:0747)

medium Nessus Plugin ID 67056

找不到變更記錄